Informações sobre a geração de registros do Cloud IDS
Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Nesta página, descrevemos os registros criados pelos alertas de ameaças do Cloud IDS.
Registros de ameaças
É possível conferir os registros gerados devido a ameaças na sua rede no Cloud Logging.
Os registros usam um formato JSON com os seguintes campos:
threat_id: o identificador exclusivo de ameaças da Palo Alto Networks.
name: nome da ameaça.
alert_severity: gravidade da ameaça. Pode ser: INFORMATIONAL, LOW,
MEDIUM, HIGH ou CRITICAL.
type: tipo da ameaça.
category: subtipo da ameaça.
alert_time: hora em que a ameaça foi descoberta.
network: rede do cliente em que a ameaça foi descoberta.
source_ip_address: endereço IP de origem do tráfego suspeito. Quando você usa um
balanceador de carga doGoogle Cloud , o endereço IP real do cliente não fica
disponível. O valor que você vê é o intervalo de endereços IP do Google Front
End (GFE). O valor pode ser 130.211.0.0/22 ou 35.191.0.0/16.
destination_ip_address: endereço IP de destino do tráfego suspeito.
source_port: porta de origem do tráfego suspeito.
destination_port: porta de destino do tráfego suspeito.
ip_protocol: protocolo IP do tráfego suspeito.
application: tipo de aplicativo do tráfego suspeito, por exemplo, SSH.
direction: direção do tráfego suspeito (cliente para servidor ou
servidor para cliente).
session_id: um identificador numérico interno aplicado a cada sessão.
repeat_count: número de sessões com o mesmo IP de origem, IP de destino,
aplicativo e tipo vistos em 5 segundos.
uri_or_filename: o URI ou o nome de arquivo da ameaça relevante, se aplicável.
cves: uma lista de CVEs associadas à ameaça.
details: informações adicionais sobre o tipo de ameaça, extraídas do ThreatVault da Palo
Alto Networks.
Os campos JSON anteriores estão aninhados no campo jsonPayload do registro. O
nome do registro de ameaças é
projects/<consumer-project>/logs/ids.googleapis.com/threat.
Além disso, o campo labels.id do registro contém o nome do endpoint do Cloud IDS, e o campo resource.type é ids.googleapis.com/Endpoint.
Exemplo de consulta
Esta consulta no Cloud Logging busca no registro de ameaças do IDS no projeto my-project do Cloud, retornando todas as ameaças com gravidade marcada como HIGH que foram reportadas pelo endpoint my-endpoint entre 8h e 9h de 4 de abril de 2021, horário PST (-07).
logName="projects/my-project/logs/ids.googleapis.com/threat"
AND resource.type="ids.googleapis.com/Endpoint"
AND resource.labels.id="my-endpoint"
AND timestamp >= "2021-04-18T08:00:00-07"
AND timestamp <= "2021-04-18T09:00:00-07"
AND jsonPayload.alert_severity=("HIGH" OR "CRITICAL")
Política de retenção
A retenção é determinada pelos buckets de armazenamento em que os registros estão localizados.
Por padrão, os registros são colocados no bucket _Default,
que tem uma política de retenção de 30 dias.
Você pode filtrar os registros para diferentes buckets. Além disso, a retenção é
configurável.
Se você quiser uma política de retenção diferente dos 30 dias padrão, execute
uma das seguintes ações:
Filtre todos os registros em outro bucket e configure uma política de retenção.
Configure uma política de retenção personalizada para o bucket _Default. Essa configuração
afetará todos os outros registros no bucket _Default.
Registros de tráfego
É possível conferir os registros gerados devido ao tráfego de rede no Cloud Logging.
Os registros usam um formato JSON com os seguintes campos:
start_time: o horário de início da sessão.
elapsed_time: o tempo decorrido da sessão.
network: a rede associada ao endpoint do IDS.
source_ip_address: o endereço IP de origem do pacote.
source_port: a porta de origem do tráfego.
destination_ip_address: o endereço IP de destino do pacote.
destination_port: a porta de destino do tráfego.
ip_protocol: o protocolo IP do pacote.
application: o aplicativo associado à sessão.
session_id: um identificador numérico interno aplicado a cada sessão.
repeat_count: o número de sessões com o mesmo IP de origem, IP de destino,
aplicativo e tipo vistos em 5 segundos.
total_bytes: o número total de bytes transferidos na sessão.
total_packets: o número total de pacotes transferidos na sessão.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-29 UTC."],[[["\u003cp\u003eCloud IDS threat alerts generate logs viewable in Cloud Logging, using a JSON format with fields like \u003ccode\u003ethreat_id\u003c/code\u003e, \u003ccode\u003ename\u003c/code\u003e, and \u003ccode\u003ealert_severity\u003c/code\u003e to describe detected threats.\u003c/p\u003e\n"],["\u003cp\u003eThe JSON payload includes crucial details such as the source and destination IP addresses, ports, threat type, and severity, alongside additional data from Palo Alto Networks' ThreatVault.\u003c/p\u003e\n"],["\u003cp\u003eThreat logs can be queried within Cloud Logging using specific criteria, including the endpoint name, timestamp ranges, and threat severity levels, as demonstrated by the provided sample query.\u003c/p\u003e\n"],["\u003cp\u003eRetention of these logs depends on the storage bucket and is set to 30 days by default in the \u003ccode\u003e_Default\u003c/code\u003e bucket, but it can be customized through different bucket configurations.\u003c/p\u003e\n"],["\u003cp\u003eTraffic logs are also generated in Cloud Logging, using a JSON format, and they contain information about network traffic, such as \u003ccode\u003estart_time\u003c/code\u003e, \u003ccode\u003eelapsed_time\u003c/code\u003e, source and destination information, and the protocol used.\u003c/p\u003e\n"]]],[],null,["# Cloud IDS logging information\n\nThis page describes the logs created by Cloud IDS threat alerts.\n\nThreat logs\n-----------\n\nYou can view logs generated due to threats in your network in Cloud Logging.\nThe logs use a JSON format with the following fields:\n\n- `threat_id` - Unique Palo Alto Networks threat identifier.\n- `name` - Threat name.\n- `alert_severity` - Severity of the threat. One of `INFORMATIONAL`, `LOW`, `MEDIUM`, `HIGH`, or `CRITICAL`.\n- `type` - Type of the threat.\n- `category` - Sub-type of the threat.\n- `alert_time` - Time when the threat was discovered.\n- `network` - Customer network in which the threat was discovered.\n- `source_ip_address` - Suspected traffic's source IP address. When you use a Google Cloud load balancer the true client IP address is not available, and this value is the IP address range of the Google Front End (GFE). The value can be `130.211.0.0/22` or `35.191.0.0/16`.\n- `destination_ip_address` - Suspected traffic's destination IP address.\n- `source_port` - Suspected traffic's source port.\n- `destination_port` - Suspected traffic's destination port.\n- `ip_protocol` - Suspected traffic's IP protocol.\n- `application` - Suspected traffic's application type---for example, SSH.\n- `direction` - Suspected traffic's direction (client-to-server or server-to-client).\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - Number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `uri_or_filename` - URI or filename of the relevant threat, if applicable.\n- `cves` - a list of CVEs associated with the threat\n- `details` - Additional information about the type of threat, taken from Palo Alto Networks' ThreatVault.\n\nThe previous JSON fields are nested under the log's `jsonPayload` field. The\nlog name for threat logs is\n`projects/\u003cconsumer-project\u003e/logs/ids.googleapis.com/threat`.\n\nIn addition, the log's `labels.id` field contains the Cloud IDS endpoint's\nname, and its `resource.type` field is `ids.googleapis.com/Endpoint`.\n\n### Sample query\n\nThis query in Cloud Logging queries the IDS threat log in cloud project\n\u003cvar translate=\"no\"\u003emy-project\u003c/var\u003e, returning all threats reported by the\n\u003cvar translate=\"no\"\u003emy-endpoint\u003c/var\u003e endpoint between 8am-9am on April 4, 2021, PST time\n(-07 timezone offset), where the threat's severity was marked HIGH. \n\n```\nlogName=\"projects/my-project/logs/ids.googleapis.com/threat\"\n AND resource.type=\"ids.googleapis.com/Endpoint\"\n AND resource.labels.id=\"my-endpoint\"\n AND timestamp \u003e= \"2021-04-18T08:00:00-07\"\n AND timestamp \u003c= \"2021-04-18T09:00:00-07\"\n AND jsonPayload.alert_severity=(\"HIGH\" OR \"CRITICAL\")\n```\n\n### Retention policy\n\nRetention is determined by the storage buckets in which the logs are located.\nBy default, logs are placed in the `_Default` bucket, and by default this bucket\nhas a retention policy of 30 days.\n\nYou can choose to filter logs to different buckets. In addition, retention is\nconfigurable.\n\nIf you want a different retention policy than the default 30 days, you can do\none of the following:\n\n- Filter all logs into another bucket and configure a retention policy.\n- Configure a custom retention policy for the `_Default` bucket. This will affect all other logs in the `_Default` bucket.\n\nTraffic logs\n------------\n\nYou can view logs generated due to network traffic in Cloud Logging.\nThe logs use a JSON format with the following fields:\n\n- `start_time` - The time of the session start.\n- `elapsed_time` - The elapsed time of the session.\n- `network` - The network associated with the IDS endpoint.\n- `source_ip_address` - The source IP address of the packet.\n- `source_port` - The source port of the traffic.\n- `destination_ip_address` - The destination IP address of the packet.\n- `destination_port` - The destination port of the traffic.\n- `ip_protocol` - The IP protocol of the packet.\n- `application` - The application associated with the session.\n- `session_id` - An internal numerical identifier applied to each session.\n- `repeat_count` - The number of sessions with the same source IP, destination IP, application, and type seen within 5 seconds.\n- `total_bytes` - The total number of bytes transferred in the session.\n- `total_packets` - The total number of packets transferred in the session."]]
